Quando si sviluppano Business Continuity Plan (BCPS) o Disaster Recovery Plan (DRP), compaiono abbastanza spesso due termini: Recovery Time Objective (RTO) e Recovery Point Objective (RPO). Sebbene siano fondamentali per la definizione di BCP e DRP, RTO e RPO non sono concetti facili da comprendere, il che può portare a piani che allocano più risorse del necessario o a piani che non otterranno i risultati attesi.
In questo articolo, vedrai come ISO 22301, lo standard ISO leader per la gestione della continuità aziendale, definisce questi parametri, nonché esempi della loro applicazione e come possono essere utilizzati per costruire piani solidi e affidabili che consentano l’ottimizzazione delle risorse considerando i risultati desiderati.
Cos’è l’RTO?
ISO 22300, che definisce il vocabolario per ISO 22301, fornisce una definizione per il Recovery Time Objective, o RTO, che può essere inteso come la quantità di tempo dopo un disastro in cui l’operazione aziendale viene ripresa o le risorse sono nuovamente disponibili per l’uso.
Ad esempio, se l’RTO è di 2 ore, significa che si desidera riprendere la consegna di prodotti o servizi, o l’esecuzione di attività, in 2 ore.
Cos’è l’RPO?
Sempre secondo la ISO 22301, la definizione del Recovery Point Objective, o RPO, può essere intesa al meglio se ci si chiede, per una determinata operazione, quanta perdita di dati puoi permetterti in termini di tempo o in termini di quantità di informazioni .
Pensa a un database per registrare tutte le transazioni in una banca (ad es. pagamenti, bonifici, programmazione, ecc.). Il database da recuperare deve essere praticamente identico al database al momento del disastro (cioè la differenza prossima allo zero), perché anche in pochi minuti si possono fare centinaia di transazioni e queste informazioni non possono essere perse e non può essere facilmente recuperato in altro modo. In questo caso, l’RPO è prossimo allo zero, il che significa che il backup deve essere eseguito in tempo reale.
Ora pensa a un repository di codice sorgente in cui gli sviluppatori di software conservano il loro lavoro. È relativamente facile riscrivere un giorno di codice perso per uno sviluppatore di software, ma più di questo può essere difficile o impossibile da ricreare. In questo caso, l’RPO sarebbe di 24 ore, il che significa che il backup deve essere eseguito almeno ogni 24 ore.
Il punto è che più difficile è recuperare o ricreare i dati, più breve deve essere l’RPO.
Qual è la differenza tra RTO e RPO?
La differenza principale sta nelle loro finalità: essendo focalizzato sul tempo, RTO si concentra sui tempi di fermo di servizi, applicazioni e processi, aiutando a definire le risorse da allocare alla continuità aziendale; mentre RPO, essendo focalizzato sulla quantità di dati, ha come unico scopo quello di definire la frequenza di backup.
Un’altra differenza rilevante è che, in relazione al momento dell’incidente dirompente, RTO guarda avanti nel tempo (cioè la quantità di tempo necessaria per riprendere le operazioni), mentre RPO guarda indietro (cioè, la quantità di tempo o di dati che stai disposto a perdere).
Cosa sono RTO e RPO nel ripristino di emergenza?
L’RTO viene utilizzato per determinare che tipo di preparativi sono necessari per un disastro, in termini di denaro, strutture, telecomunicazioni, sistemi automatizzati, personale, ecc. Più breve è l’RTO, maggiori sono le risorse necessarie.
RPO viene utilizzato per determinare la frequenza del backup dei dati per recuperare i dati necessari in caso di emergenza. Se il tuo RPO è di 4 ore, devi eseguire il backup almeno ogni 4 ore; ogni 24 ore ti metterebbe in grave pericolo, ma se lo facessi ogni ora potrebbe costarti troppo e non apportare valore aggiunto al business.
Sia l’obiettivo del tempo di recupero che l’obiettivo del punto di ripristino sono determinati durante l’analisi dell’impatto aziendale (BIA) e le preparazioni per raggiungerli sono definite nella strategia di continuità aziendale.
L’RPO dovrebbe essere inferiore all’RTO?
Sebbene RTO e RPO siano entrambi cruciali per l’analisi dell’impatto aziendale e per la gestione della continuità aziendale, non sono direttamente correlati; ma non sono nemmeno in conflitto (non esiste RTO vs. RPO), quindi RPO non deve essere inferiore a RTO o viceversa: potresti avere un RTO di 24 ore e un RPO di 1 ora o un RTO di 2 ore e un RPO di 12 ore.
Ad esempio, un sito di e-commerce potrebbe dover essere online 4 ore dopo un’interruzione, quindi RTO è di 4 ore. Ora, questo stesso sito di e-commerce ha due database, uno per il catalogo prodotti, che viene aggiornato una volta alla settimana, e il secondo per registrare le vendite (migliaia al giorno). L’RPO per il primo database può essere di 1 settimana, ma per il secondo l’RPO dovrebbe essere prossimo allo zero.
La gestione della continuità riguarda più la preparazione e meno le ipotesi
I piani di continuità aziendale e di ripristino di emergenza sono elementi che le organizzazioni devono avere e sperano di non utilizzare e, in questi casi, devono trovare un equilibrio tra l’investimento della quantità minima di risorse possibile e la massima sicurezza che i piani funzioneranno.
Per raggiungere questo equilibrio, RPO e RTO sono fondamentali. Senza determinarli correttamente, indovineresti e indovinare è il modo migliore per garantire il ripristino di emergenza, invece del ripristino da un disastro.
Potresti trovare interessanti anche la iso 27001 sulla sicurezza delle informazioni e la iso 22301 rispetto ai rischi legati al mercato.
